PaperCut sotto attacco: zero-day sfruttata, patch d'emergenza e ordine di isolare i server

Il 28 agosto 2026 PaperCut Software ha segnalato una vulnerabilità zero-day nei suoi prodotti di gestione della stampa PaperCut NG e PaperCut MF, già sfruttata in attacchi reali. La falla non ha ancora un identificativo CVE e il vendor non ha diffuso dettagli tecnici. Ha però confermato incidenti verificati presso i clienti e ha rilasciato patch di emergenza, invitando a installarle subito.

La società raccomanda inoltre di scollegare da internet gli Application Server PaperCut e di limitare l’accesso alle sole IP fidate. Anche in assenza di attività sospette, le interfacce web devono essere protette con regole firewall o controlli di rete equivalenti.

L’indagine è in corso: il bollettino di sicurezza sarà aggiornato con indicatori di compromissione e indicazioni di remediation non appena saranno disponibili informazioni verificate.

Una falla senza dettagli, ma con conferme di sfruttamento

Al momento non si conoscono le versioni esatte interessate dalla nuova zero-day. PaperCut non ha fornito il vettore di attacco, la gravità o l’attribuzione. Quel che è certo è che la vulnerabilità viene già usata contro infrastrutture reali: il vendor parla di “incidenti verificati” presso i clienti.

La raccomandazione di isolare i server esposti a internet è un segnale forte. Non si tratta di una misura preventiva generica, ma di una richiesta operativa indirizzata a chiunque gestisca un Application Server PaperCut raggiungibile dall’esterno. Il consiglio vale anche dove non è stata osservata attività sospetta: gli attaccanti potrebbero aver già preso il controllo senza lasciare tracce evidenti.

Le patch di emergenza sono state distribuite venerdì (la data esatta non è stata resa nota) e il vendor invita a installarle immediatamente. Chi non può aggiornare subito deve almeno limitare l’accesso web ai soli indirizzi IP interni o fidati.

Le due CVE precedenti: bypass di autenticazione e ransomware

La nuova falla si inserisce in una serie già nota. PaperCut è stata bersaglio di almeno due vulnerabilità critiche documentate nel 2023, entrambe nel catalogo KEV della CISA e sfruttate in campagne ransomware.

La prima, CVE-2023-27350, ha un punteggio CVSS di 9.8. Consente a un attaccante remoto di aggirare l’autenticazione su installazioni interessate di PaperCut NG 22.0.5 (Build 63914). La falla risiede nella classe SetupCompleted ed è causata da un controllo accessi improprio (CWE-284). Chi la sfrutta può ottenere esecuzione di codice arbitrario nel contesto SYSTEM, il livello più alto di privilegio su Windows. La CISA l’ha inserita nel KEV il 21 aprile 2023, con scadenza di remediation per le agenzie federali USA fissata al 12 maggio 2023.

La seconda, CVE-2023-27351, ha un punteggio CVSS di 7.5. Anche questa permette il bypass dell’autenticazione, ma l’impatto è limitato alla lettura di informazioni (confidenzialità alta, integrità e disponibilità non impattate). La falla sta nella classe SecurityRequestFilter ed è dovuta a un’implementazione impropria dell’algoritmo di autenticazione (CWE-287). La CISA l’ha aggiunta al KEV il 20 aprile 2026, con scadenza 4 maggio 2026. Per questa vulnerabilità, l’agenzia prescrive di applicare le mitigazioni secondo le istruzioni del vendor, seguire la guida BOD 22-01 per i servizi cloud o dismettere l’uso del prodotto se le mitigazioni non sono disponibili.

Entrambe le CVE interessano PaperCut MF e NG in versioni anteriori alla 20.1.7. La scheda NVD cita PaperCut NG 22.0.5 (Build 63914) come esempio di installazione affetta. È importante non confondere queste falla con la nuova zero-day: sono eventi separati, ma mostrano che i prodotti PaperCut sono nel mirino di attaccanti capaci di trasformare un bypass di autenticazione in un accesso completo ai sistemi.

Chi c’è dietro: Lace Tempest e i gruppi legati all’Iran

L’attività su PaperCut non è nuova. Nel maggio 2023 Microsoft aveva avvisato che gruppi APT legati all’Iran stavano sfruttando CVE-2023-27350 contro server PaperCut MF/NG. Poco prima, nell’aprile 2023, la stessa Microsoft aveva collegato gli attacchi che sfruttavano CVE-2023-27350 e CVE-2023-27351 a un attore finanziariamente motivato tracciato come Lace Tempest, in precedenza noto come DEV-0950.

Lace Tempest è descritto come affiliato del ransomware Clop, lo stesso gruppo già collegato agli attacchi GoAnywhere e all’infezione Raspberry Robin. Dal 13 aprile 2023 Lace Tempest avrebbe aggiunto gli exploit PaperCut al proprio arsenale. L’uso di queste vulnerabilità in campagne ransomware spiega la presenza nel catalogo KEV: la CISA le considera sfruttate attivamente, non semplici ipotesi accademiche.

Per la nuova zero-day non c’è ancora attribuzione. Il vendor non ha indicato attori o campagne. È però prudente considerare il fatto che i prodotti PaperCut sono già stati usati come vettore per ransomware e spionaggio: chi li espone su internet corre un rischio concreto, non teorico.

Indicatori di compromissione da cercare nei log

PaperCut ha diffuso alcuni indicatori preliminari per aiutare i clienti a capire se sono stati colpiti. Non sono firme definitive, ma segnali che meritano verifica.

Il primo riguarda l’eseguibile pc-app.exe. Gli strumenti di intrusion detection, endpoint security o network monitoring possono segnalare attività sospette legate a questo processo. Un’attività insolita da parte di pc-app.exe va approfondita, soprattutto se accompagnata da connessioni di rete verso destinazioni non previste.

Il secondo segnale riguarda i file di log. Gli attaccanti possono eliminare, troncare o alterare i file server.log di PaperCut per nascondere le proprie tracce. Se un server PaperCut mostra log mancanti, inspiegabilmente corti o modificati, è un campanello d’allarme.

Nel server.log possono comparire stringhe specifiche, come:

• ERROR No suitable driver found for jdbc:no:x
• ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST

Queste stringhe non sono normali in un funzionamento regolare. La loro presenza, insieme ad altri segnali, può indicare un tentativo di sfruttamento o un accesso già riuscito.

Cosa fare subito: patch, isolamento, monitoraggio

Le azioni da intraprendere sono chiare e vanno eseguite nell’ordine.

1. Applicare le patch di emergenza. PaperCut ha rilasciato gli aggiornamenti correttivi. Chi non l’ha ancora fatto deve farlo ora.
2. Isolare gli Application Server. Se il server è raggiungibile da internet, va scollegato o limitato alle sole IP fidate. Questa misura vale anche per chi non ha visto attività sospetta.
3. Controllare i log e gli indicatori. Verificare l’integrità di server.log, cercare le stringhe anomale e monitorare pc-app.exe.
4. Per chi usa versioni vecchie. Se si gestiscono PaperCut MF o NG in versioni anteriori alla 20.1.7, bisogna aggiornare comunque: quelle versioni sono esposte alle due CVE precedenti, già sfruttate in attacchi ransomware. Le scadenze CISA per le agenzie federali USA sono ormai superate per entrambe le CVE: 12 maggio 2023 per CVE-2023-27350 e 4 maggio 2026 per CVE-2023-27351. Ma l’obbligo di aggiornare vale per tutti, non solo per il settore pubblico.
5. Seguire la guida BOD 22-01 per i servizi cloud se si usa PaperCut in ambienti cloud. Se le mitigazioni non sono disponibili, la CISA raccomanda di dismettere l’uso del prodotto.

La nuova zero-day non ha ancora un CVE, ma la risposta del vendor e la raccomandazione di isolare i server indicano una minaccia concreta. Chi gestisce un PaperCut esposto su internet non deve aspettare i dettagli tecnici per agire. Le patch ci sono, e le misure di contenimento non richiedono altro che restrizioni di rete.

La storia di PaperCut dimostra che un bypass di autenticazione può trasformarsi in esecuzione di codice e in ransomware. La finestra di esposizione va chiusa adesso.